第3章用户账户管理 本章要点 1．用户账户 2．用户配置文件 3．组 对于

1、第3章 用户账户管理本章要点1用户账户2用户配置文件3组对于网络管理员来讲，如何管理好企业中使用网络的用户是一个比较重要同时也是比较难的一项任务，一般情况下，可以通过用户账户来管理使用网络的用户。本章主要介绍如何管理用户账户，如何管理用户配置文件以及如何管理组。3.1 用户账户账户代表着需要访问网络资源的用户，从某种意义上来说账户就是网络世界中用户的身份证。windows server 2003网络依靠账户来管理用户，控制用户对资源的访问，每一个需要访问网络的用户都需要有一个账户。在windows server 2003网络中有两种主要的账户类型：本地账户和域用户账户。 保存账户的数据库叫做安

2、全账户管理器（sam，security accounts manager），为了保证账户在域中的惟一性，每一个账户刚创建时被分配了一个惟一的sid（security identifier，安全识别符），该sid在本计算机或者本域是独一无二的。sid不随账户的修改、更名而改动，并且一旦账户被删除则sid也将不复存在，即便重新创建一个一模一样的账户，其sid也不会和原有的sid一样，对于windows server 2003而言这就是两个不同的账户。在windows server 2003中系统内实际上是利用sid来对应用户的权限的，因此如果将一个账户删除，然后创建一个同名的账户，那么新的账户也不

3、会有原来账户的权限和权力。3.1.1 本地账户本地用户账户只能建立在windows server 2003独立服务器、windows server 2003成员服务器、或基于windows xp professional等计算机中 ，并且由本机进行管理。在企业中不推荐使用本地账户，因为每台计算机都有自己的本地账户，如果要登录某台计算机或者从网络访问某台计算机，必须输入该计算机的本地账户，计算机数目很多，不容易访问和管理。 本地账户主要有三个要点：本地创建：本地账户只能在独立服务器和成员服务器上创建，不能在dc上创建。本地存储：本地账户存储在创建账户的那台计算机上的systemroot/syst

4、em32/config/sam中。提示：systemroot代表系统根目录，也就是安装完windows的目录，一般情况下是c:windows。本地使用：在哪台计算机创建的本地账户，就只能在那台计算机上使用。也就是说在某台计算机上创建了本地账户，那么只能用这个本地账户在该计算机上登录，不能在其他计算机登录。一般有两种情况使用本地账户：登录到某台计算机时，需要输入该计算机的本地账户；当从网络访问该计算机时，需要输入该计算机的本地账户。提示：本书中登录的含义是指计算机启动时按下ctrl+alt+delete输入用户名密码的过程。以下是创建本地账户的步骤1“开始”“管理工具”“计算机管理”，然后在如图

5、3-1所示的窗口中右击“用户”“新用户”。图3-12出现如图3-2所示的对话框后，请输入该用户的相关信息后，单击“创建”按钮，然后单击关闭即可。图3-2 用户名 登录时所用的账户名称。 全名 用户的完整名称，可以不填。 描述 用于对该账户的简要描述信息，例如用户的职位等。 密码与确认密码 用于设定用户的密码（windows server 2003最大支持127位的密码，另外密码不支持中文，但是支持数字、字母和特殊字符）。 用户下次登录时须更改密码 如果选中，那么当用户下次登录时会强制用户更改密码 用户不能更改密码 如果选中，那么用户就不能够更改自己的密码，只有管理员才能更改，一般这种情况属于用

6、户公共账户的使用。（此项目与“用户下次登录时须更改密码”不能同时选中） 密码永不过期 如果选中，那么用户的密码就一直可以使用，不会强制用户更改密码。 账户已停用 如果选中，那么这个账户将暂时被禁用。3.1.2 域账户域用户账号是用户访问域的凭证，因此在域中是惟一的。域用户账号在dc上建立和管理，它保存在域的活动目录数据库中。当用户登录域时或者访问域的资源时，必须输入域用户账号，并且由dc来验证。域账号存在于dc上的%systemroot%ntdsntds.dit文件中。和本地账号类似，每个域账号也有一个惟一的sid，并且这个sid是在域中惟一。总结一下，域账号也有三个要点：dc上创建：只能在d

7、c上创建，域账户不能在成员服务器或者是独立服务器创建。dc上的ad存储：存储在dc上的ad中也就是存在于dc上的%systemroot%ntdsntds.dit文件中。整个域中都能使用：可以登录到域中的任何一台计算机（dc有可能不行，默认情况下为了保证安全，普通的域账号没有权力在dc上登录）。关于域账户的更多详细内容，请参考网络管理服务一书。3.2 用户配置文件用户配置文件定义了用户使用windows server 2003的工作环境，其中包括用户计算机的显示器设置、区域设定、桌面、开始菜单、我的文档等内容。用户配置文件实际上不是一个具体的文件，而是由一系列文件和文件夹组成的。在硬盘上的win

8、dows server 2003所在的分区中会有一个“documents and settings”文件夹，在该文件夹下面有所有在该计算机上登录过的用户的配置文件。每一个用户都会有一个自己的文件夹，文件夹的名字就是用户的登录名，该文件夹中包含了用户的各种设置。注意：如果先后有两个同名账户登录系统（例如删除旧账户后又创建同名账户），windows server 2003同样会在每个用户第一次登录时创建用户配置文件夹，虽然这两个用户同名但新的文件夹不会覆盖原有文件夹，而是建立一个“用户名.计算机名”名称格式的新配置文件文件夹。在用户的配置文件夹中分别包含了开始菜单、桌面、收藏夹、我的文档等设置。用

9、户配置文件分为本地用户配置文件、漫游用户配置文件、强制用户配置文件三类。在本章中重点讲述本地用户配置文件。漫游用户配置文件、强制用户配置文件请参阅网络管理服务一书。3.2.1 本地用户配置文件当一个用户第一次登录到一台计算机上时创建的用户配置文件就是本地用户配置文件。一台计算机上可以有多个本地用户配置文件，分别对应于每一个曾经登录过该计算机的用户。本地用户和域用户默认情况下的配置文件都是本地配置文件。注意：对本地用户配置文件所做的任何更改都只是对当前这台计算机有效。本地配置文件的位置是系统根目录所在的盘下documents and settings文件夹，每个在本地登录过的用户都有一个和用户同

10、名的本地用户文件夹，如图3-3所示。图3-3打开本地配置文件夹，会有一些子文件夹及文件，这些文件夹和文件都是本地配置文件，分别管理着用户的桌面、开始菜单、临时文件、收藏夹等等。如图3-4所示。图3-43.3 组组是在windows server 2003网络环境中的一个非常重要的概念。组是用户账号的集合，主要目的是为了简化管理。一般情况下，可以给组授予某种权限，然后将用户加入到组中，这样用户就具有了组所具有的权限。当不希望用户获得权限时，只要简单地将其从获得权限的组中删除即可。注意：对组的一些限制：组和用户账号不能同名、组不能登录、将组删除不会删除组里的用户。组分为本地的组和域中的组，本地的组和本地用户类似，只能在本机使用，它的作用范围是本地的计算机。域中的组在后面的活动目录内容中介绍。关于本地组的使用方法和创建方法请参看案例集。在windows server 2003中内建了一些特殊的组，特殊组是针对系统的用途或活动而自动组织用户，管理员不能分配和管理这些组的成员。特殊组存在于所有运行windows server 2003的计算机上，并且其组用户的规则是统一而不能更改的，例如everyone组，每个人都属于这个组。windows server 2003同时也内置了一些组，这些组是安装完windows server 2003就存在的